Lỗ hổng CVE-2026-65400: Screen Sharing trên macOS có thể bị lợi dụng để chiếm quyền root

Nếu bạn bật tính năng chia sẻ màn hình (Screen Sharing) trên máy Mac và đã từng mở cổng 5900 để truy cập từ xa, thiết bị của bạn có thể đã gặp rủi ro nghiêm trọng: một lỗi trong cơ chế xác thực cho phép kẻ tấn công kết nối mà không cần mật khẩu, leo lên quyền root và cài phần mềm đào tiền ảo. Bài viết này tóm tắt nguyên nhân, bằng chứng khai thác thực tế, mức độ rủi ro, và cách giảm thiểu nguy cơ dựa trên các thông tin đã được công bố.

Điểm mấu chốt: lỗi xác thực và điều kiện khai thác

Lỗi được định danh CVE-2026-65400 nằm trong thành phần Screen Sharing của macOS. Về bản chất, vấn đề là cách hệ thống quản lý trạng thái đăng nhập; một sai sót ở khâu này khiến thao tác xác thực bị bỏ qua trong một số tình huống. Kết quả là, nếu tính năng Screen Sharing đang được bật và cổng mặc định 5900 bị mở ra Internet (thường do cấu hình chuyển tiếp cổng trên router), kẻ xấu có thể kết nối vào dịch vụ từ xa mà không cần cung cấp mật khẩu hợp lệ.

Tác động thực tế: từ thử nghiệm đến hệ thống bị xâm nhập

Thông tin công bố cho biết đã có các cuộc tấn công thực tế khai thác lỗ hổng này. Cơ quan An ninh mạng Quốc gia Hà Lan (NCSC-NL) cảnh báo rằng nhiều máy Mac với cổng 5900 lộ ra Internet đã bị chiếm quyền root và bị cài phần mềm đào Monero. Mã khai thác thử nghiệm (proof-of-concept) cũng đã xuất hiện công khai, khiến việc tấn công dễ dàng hơn với số lượng lớn mục tiêu.

Một nhà nghiên cứu độc lập (bút danh @osxreverser) cho biết đã quét và phát hiện khoảng 40.000 máy Mac bật Screen Sharing và lộ ra Internet, trong đó gần một nửa có thể bị khai thác bởi lỗ hổng này — con số do cá nhân này công bố và chưa được kiểm chứng độc lập bởi các tổ chức khác.

Tại sao cảnh báo lại thay đổi mức độ nguy hiểm?

Ban đầu, điểm đánh giá lỗ hổng theo CVSS được đặt ở mức 7.1 — mức cao nhưng chưa ở ngưỡng tối đa. Tuy nhiên trong vòng vài ngày, Cơ quan An ninh mạng Mỹ (CISA) đã điều chỉnh điểm này lên 9.8 và cập nhật mô tả: lỗ hổng được xếp lại là có thể khai thác mà không cần bất kỳ quyền hạn nào, và việc khai thác có thể được tự động hóa ở quy mô lớn. Việc thay đổi điểm đánh giá trong thời gian ngắn phản ánh rằng rủi ro thực tế được nhận diện cao hơn mức đánh giá ban đầu.

Ai phát hiện, Apple xử lý như thế nào?

Người phát hiện lỗ hổng là nhà nghiên cứu Alfredo Pesoli thuộc nhóm Bynario, và Apple đã phát hành bản sửa cho lỗi này. Các bản vá được đưa ra trên ba nhánh macOS: Tahoe (bản 26.6.1), Sequoia (15.7.9) và Sonoma (14.8.9). Các bản vá này được mô tả là giải quyết bằng cách cải thiện quản lý trạng thái, tức khắc phục vấn đề trong cơ chế xác thực liên quan đến Screen Sharing.

Những điều người dùng cần làm ngay

Dưới đây là các bước hành động dựa trên các khuyến nghị và dữ kiện công bố:

• Cập nhật phần mềm: cài bản vá do Apple phát hành (macOS Tahoe 26.6.1, Sequoia 15.7.9 hoặc Sonoma 14.8.9) càng sớm càng tốt nếu máy của bạn thuộc các dòng tương ứng.
• Tạm tắt Screen Sharing nếu chưa thể cập nhật: vào System Settings > General > Sharing và gạt công tắc Screen Sharing sang trạng thái tắt.
• Kiểm tra cấu hình mạng: kiểm tra router và thiết bị trung gian để xác định xem cổng 5900 có đang được chuyển tiếp ra Internet hay không. Tránh mở cổng trực tiếp nếu không thực sự cần thiết.
• Xem xét phương thức truy cập từ xa an toàn hơn: thay vì chuyển tiếp cổng công khai, cân nhắc sử dụng VPN hoặc các giải pháp truy cập từ xa có xác thực mạnh hơn (khi có thể triển khai).

Những bước trên tắt ngay con đường khai thác phổ biến nhất được báo cáo: kẻ tấn công dùng kết nối trực tiếp tới cổng 5900 của máy đã bật Screen Sharing.

Hiểu đúng về mức rủi ro và phạm vi ảnh hưởng

Quyền root là quyền cao nhất trên macOS; khi kẻ tấn công chiếm được quyền này, hệ quả không chỉ là cài phần mềm đào tiền ảo. Với quyền root, tin tặc có thể đọc và chỉnh sửa dữ liệu trên hệ thống, cài thêm phần mềm độc hại khác hoặc truy xuất thông tin đăng nhập được lưu trên máy. Vì vậy, dù mục tiêu công khai của các vụ tấn công được báo là Monero miner, hậu quả có thể nghiêm trọng hơn nhiều nếu kẻ xấu tiến hành các hành vi tinh vi hơn.

Cũng cần lưu ý rằng, mặc dù NCSC-NL đã xác nhận các vụ khai thác thực tế, đến thời điểm báo cáo lỗ hổng chưa được đưa vào danh mục các lỗ hổng đang bị khai thác chính thức (KEV) của CISA. Sự khác biệt này cho thấy quá trình thu thập và cập nhật dữ liệu giữa các cơ quan an ninh mạng có thể có độ trễ hoặc tiêu chí khác nhau — nhưng đối với người dùng cuối, điều quan trọng là thực hiện các biện pháp phòng ngừa ngay lập tức.

Ai nên quan tâm đặc biệt?

Mọi người dùng macOS có bật Screen Sharing đều nên chú ý, nhưng rủi ro tăng cao ở hai nhóm chính:

• Người dùng thiết lập chuyển tiếp cổng (port forwarding) trên router để truy cập máy từ xa: hành vi này khiến cổng 5900 lộ ra Internet và là điều kiện thuận lợi để khai thác.
• Máy được kết nối trực tiếp với Internet hoặc không có tường lửa phù hợp: các máy như vậy dễ bị quét và phát hiện bởi các mã khai thác tự động xuất hiện công khai.

Các câu hỏi thường gặp (FAQ)

Làm thế nào để biết máy Mac của tôi có đang bị khai thác không?

Nếu máy đã bị khai thác, các báo cáo cho thấy kẻ tấn công có thể cài phần mềm đào Monero; dấu hiệu có thể là hoạt động đĩa hoặc CPU tăng đột ngột và các tiến trình lạ. Tuy nhiên, dấu hiệu không phải lúc nào cũng dễ nhận biết, nên biện pháp an toàn nhất là cập nhật hệ điều hành và kiểm tra xem Screen Sharing có đang bật và cổng 5900 có đang chuyển tiếp ra Internet hay không.

Nếu tôi không thể cập nhật ngay, phương án tạm thời là gì?

Khuyến nghị là tắt tính năng Screen Sharing trong System Settings > General > Sharing. Đồng thời kiểm tra cấu hình router để đảm bảo cổng 5900 không bị mở ra Internet; nếu cần truy cập từ xa, cân nhắc thiết lập VPN an toàn thay vì mở cổng trực tiếp.

Tổ chức của tôi dùng nhiều máy Mac — cần làm gì ở quy mô lớn?

Trong môi trường doanh nghiệp, bên cạnh việc triển khai bản vá tập trung, cần rà soát chính sách truy cập từ xa, kiểm tra thiết lập port forwarding trên các gateway và áp dụng các giải pháp VPN hoặc truy cập từ xa có xác thực đa yếu tố. Việc phát hiện sớm mã khai thác công khai cũng là lý do để tăng cường giám sát mạng.

Kết luận

CVE-2026-65400 là lời nhắc mạnh mẽ rằng các tính năng tiện lợi như Screen Sharing có thể trở thành cửa sau nếu không được cấu hình và bảo vệ đúng mức. Khi lỗ hổng cho phép vượt qua bước xác thực và công cụ khai thác công khai xuất hiện, thời gian phản ứng nhanh trở nên sống còn: cập nhật phiên bản macOS được vá, tắt Screen Sharing nếu chưa cập nhật và tránh mở cổng 5900 ra Internet là các biện pháp trực tiếp, hiệu quả để giảm rủi ro ngay lập tức. Đối với những người quản lý hệ thống, hãy rà soát chính sách truy cập từ xa và ưu tiên kết nối an toàn thay vì chuyển tiếp cổng công khai.

Hãy hành động càng sớm càng tốt: kiểm tra trạng thái Screen Sharing trên máy bạn, cập nhật macOS theo các bản vá đã nêu, và xem lại cấu hình mạng nếu bạn từng bật port forwarding cho truy cập từ xa.

Để mở rộng hiểu biết về các ảnh hưởng của các nền tảng AI và di động hiện nay, bạn có thể tiếp tục đọc thêm các phân tích chuyên sâu sau:

Muốn biết cách Apple điều chỉnh chiến lược AI tại thị trường Trung Quốc và những giới hạn kỹ thuật đi kèm, bài viết quy định cho Apple Intelligence tại Trung Quốc và yêu cầu dùng mô hình AI nội địa phân tích chi tiết về yêu cầu phân chia nhiệm vụ giữa các nền tảng địa phương và các hạn chế so với bản toàn cầu.

Nếu bạn quan tâm trải nghiệm thực tế với trợ lý AI trên smartphone và hiệu quả trong công việc hàng ngày, bài trải nghiệm 4 tháng cùng Galaxy S26 Ultra và các tiện ích AI tích hợp mô tả cách các tính năng như chuyển ghi âm, dịch trực tiếp, và chỉnh sửa ảnh đã thay đổi quy trình làm việc.

Nếu đang cân nhắc mua smartphone sau các đợt giảm giá lớn, bài phân tích iPhone Air giảm giá: những đổi lấy cần suy xét trước khi quyết định cung cấp góc nhìn chi tiết về giá giảm mạnh kèm voucher và những điểm cần lưu ý về thiết kế, cấu hình trước khi mua.